Windows组策略屏蔽U盘

《Windows组策略屏蔽U盘》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、Windows组策略屏蔽U盘笔者在一家企业工作，为确保局域网内的计算机安全，公司客户端的机器光软驱都要拆除,而且禁止在局域网内使用U盘。我们知道，现在局域网中使用的操作系统绝大多数都是Windows系列，对于Windows98说，做到这些并不难，因为U盘第一次使用时需耍安装相应的驱动程序，拆除了光、软驱后，驱动无法安装，U盘也就无法使用，但対Windows2000、WindowsXP來说，情况就不同了，用过U盘的人都知道这些操作系统不需要安装驱动，U盘即插即用。对于人多数用户来说，这的确很方便，但对于单位有耍求的网管来说，就头疼了，现在新买的机器不能总是

2、安装Windows98吧，毕竟Windows98就要“下岗”了，但面对U盘,却没有好的办法，也许您会想到可以在BIOS设置里屏蔽USB端口，但这是“宁可错杀一千，不能放过一个”的办法，如果您的单位客户端没有使用USB接口的键盘、鼠标、打印机等设备,那您完全可以采用此方法，不过您以后采购设备的时候要注意了，最好不要采购USB设备，除非咱们网管自己用，哈哈！那有没有简单易行的办法呢？经过一段时间摸索和试验，笔者终于找到了使用修改组策略模板的方法实现此目标。实现条件当然这是有前提条件的，首先，您的局域网必须以域为架构（我们知道Windows2000、Windo

3、wsXPAQ都口带有组策略编辑器，使用组策略编辑器可单独编辑每台机器的策略，而使用域时，只要川户登录到域，就会自动应用策略，在服务器端修改一次，就可以在全域实现管理目标，如果不采丿IJ域模式，您需要每台都要设置组策略，失去了效率，也就没冇采用的必要了）。其次，客户端必须以域用户的身份登录网络，且不能被赋予客户端木机管理员的权限。客户端操作系统推荐使用Windows2000和WindowsXP,虽然Windows98也能在域环境下应用组策略，但Windows2000Server组策略对Windows98的支持并不完全，且需要采用两种完全不同的方法分别管理他

4、们，会对您以后的网络管理带来不便。特别说明：这里介绍的方法并不适用于Windows98,只适用于服务器端安装Windows2000Server或WindowsServer2003。只要您的网络满足以上条件,我们就可以利用组策略屏蔽U盘，而对于其他USB设备却无任何影响，笔者在单位实施1年多來，效果很好,现将详细方法介绍出來，希望能给众多网管们提供一点借鉴。基本原理组策略实现的原理实际上就是修改注册表，当域用户登录到域上时，系统会对指圧的客户端实施组策略，也即修改客户端的注册表，当我们新建了一个组策略时，系统实际上是拷贝了三个模板文件，在您修改组策略时，实

5、际上是在修改这些模板的副本，然厉把这些策略应用到指定的客户端中去，然而Windows2000Server系统提供的组策略模板中并没冇我们想要的屏蔽U盘的策略，但我们可以于-动修改系统的模板文件，使组策略模板具备屏蔽11盘的策略，实际上根据其原理，凡是修改注册表能做到的，基本上都可以在域屮使用组策略实现。实现方法1、在域控制器上打开ActiveDirectory用户和计算机，找到您要屏蔽U盘的组织单位（OrganizationalUnit简称OU）,右键查看此组织单位的属也点击组策略页而，新建一个组策略，命名并保存为“屏蔽U盘”，建好后，双击“屏蔽U盘”（

6、必需先打开一次，否则系统不会拷贝那几个模板文件），在打开的标题为“组策略”的窗口的左边，按以下顺序定位“用户配置一管理模板-WindowsWindows资源管理器”，选屮Windows资源管理器，在右边的窗口中会显示如图1所示。我们可以看到有“隐藏我的电脑屮的这些指定的驱动器”和“防止从我的电脑访问驱动器”，双击打开其中一项策略，选择“启用”，下面的下拉框会变亮，单击下拉框，如图2所示，您会发现系统提供了7种限制访问驱动器号的组合，其屮也包括了“不限制驱动器”，显然，这些组合不能满足我们的要求（因为U盘的盘符通常是排在最后的，Iftj且现在的硬盘比较大，

7、少则也有三四个分区）。2、在域控制器上打开ActiveDirectory用户和计算机，在刚才我们新建的“屏蔽U盘”策略上单击右键选择查看属性，在如图3所示的位置找到”屏蔽U盘”的组策略的唯一的名称,此名称为一长串数字和字母组成，本例屮为{82F86A8E-B345-4DDC-A304-E448F6E900A9},记下此字符串。3、打开系统盘，泄位W{82F86A8E-B345-4DDC-A304-E448F6E900A9}命名的文件夹，此文件夹位于“C:WINNTSYSVOLbaling.com.cnPolicies”下（盘符依赖于您安装的操作系统所在的

8、分区），注意其+baling.com.cn是您的Windows2000的域名，打